Укради мой Bitcoin: PHP-эксплойт против реальности

Если вы в последнее время хоть немного сидели в соцсетях по безопасности, то наверняка видели такой тезис: новые баги удаленного выполнения кода в PHP настолько простые, что AI-агенты уже автономно эксплуатируют уязвимые серверы тысячами. Целые рои. Остановить невозможно. Один разработчик устал от этого шума и сделал кое-что чудесно прямолинейное. Он поднял сервер с PHP-версией до патча, спрятал ключ от Bitcoin примерно на пятьсот долларов там, куда до него мог бы дотянуться успешный атакующий, и опубликовал ссылку с двумя словами приглашения: укради его. Ведь PHP-эксплойт, по версии паникёров, — это то, что чат-бот выдаст до обеда. Таймер на сайте начал отсчет. Дальше случилось интересное: ничего не произошло.

Проходили часы. Монеты лежали на месте. В комментариях воцарилась очень специфическая тишина, та самая, когда десятки людей, которые неделями твердили, что эксплойт — детская задачка, внезапно нашли срочные причины, по которым не могут его продемонстрировать. Как бы вы ни относились к этой выходке, она сделала то, что в дискуссиях о безопасности случается редко: превратила вирусный тезис в то, что можно проверить и опровергнуть.

Сервер, созданный для ограбления

Механика позаимствована из соревнований в формате capture-the-flag. Приватный ключ Bitcoin лежит не в файле веб-корня и не в переменной окружения, а хранится в бинарнике print-flag, доступном пользователю, от имени которого работает PHP. Значит, успешному атакующему нужно реальное выполнение кода на машине, а не просто утечка информации или path traversal. Надо получить шелл, запустить бинарник, прочитать ключ и вывести кошелек раньше всех остальных. Версию PHP намеренно выбрали из периода до последних патчей CVE, а всё сопровождалось бодрым предупреждением, что весь трафик логируется и ничего на машине не стоит считать приватным.

На этом сервере спрятан ключ от биткоин-кошелька примерно на $502. Он доступен пользователю PHP через бинарник print-flag. Выигрывает тот, кто первым получит кошелек.

Автор добавил и немного изящества: если деньги вам не нужны, подумайте о пожертвовании на благотворительность. А сайт услужливо показывал живой счетчик — часы без успешного взлома, — и вся страница превратилась в табло. Каждый лишний час был сам по себе данными. Уже через день счетчик стал самой интересной метрикой безопасности в интернете, потому что измерял предсказание, на которое люди поставили свою репутацию.

Почему награда в $500 — это машина по проверке гипотез

Большинство утверждений в безопасности по своей природе не поддаются проверке. «Атакующие уже эксплуатируют это в дикой природе» — основано на телеметрии, которую вы не видите. «Любой джуниор-аналитик сможет превратить это в оружие за полдня» — никто этого никогда не демонстрировал. «Наши агенты самостоятельно нашли рабочие эксплойты» — верьте демо-видео. Доказать отрицание невозможно, поэтому утверждения просто копятся. Паника дешева, потому что за нее никто не отвечает.

Публичная награда с публичным таймером меняет расчет. Если тысячи автономных агентов действительно сканируют интернет и захватывают каждую непропатченную PHP-машину, то коробка, которая прямо рекламирует именно эту уязвимость, с денежным призом и явным разрешением, должна падать за минуты. Не за часы. За минуты. Стимулы идеально совпадают: это законно, это поощряется и это оплачивается. Когда же счетчик продолжал расти, один конкретный тезис — что массовая автономная эксплуатация уже идет — получил прямой удар. Как написал один из комментаторов, рассказ о роях агентов, которые компрометируют всё вокруг, явно не соответствует действительности, иначе монеты бы уже исчезли.

Это прием, который стоит позаимствовать для собственной работы. Когда вендор или инфлюенсер говорит вам, что уязвимость эксплуатируют повсюду, спросите, какое наблюдение опровергло бы его. Если такого нет, вы слышите не анализ, а маркетинг. Ключ от биткоина сработал потому, что превратил атмосферу в пари, а у пари есть чудесное свойство: их можно рассчитать.

Экономика эксплойтов: почему настоящие атакующие не играют

Вот контраргумент, и он неплохой: молчание доказывает меньше, чем кажется, потому что рабочий эксплойт для свежей CVE стоит намного больше $500, но только как секрет. Каждый раз, когда вы запускаете эксплойт против цели, вы рискуете, что его залогируют, отреверсят и сожгут. Запускать его против сервера, владелец которого заранее объявил, что весь трафик логируется и весь интернет наблюдает? Это не награда, это костер.

В обсуждении всплыло именно это рассуждение с обеих сторон. У наступательных акторов есть цели поценнее кошелька на $500, и им неинтересно отдавать свои инструменты тому, кто читает логи. У защитных исследователей, которые владеют привилегированной информацией об уязвимостях, есть окно для патчинга, которое нужно защитить: один CEO компании в сфере безопасности публично заявил, что его команда имеет рабочий RCE, но не будет его демонстрировать именно потому, что распространение деталей, пока люди еще накатывают патчи, принесет реальный вред. Обе группы сделали одни и те же расчеты: ожидаемая выгода от забирания монет — пятьсот долларов, ожидаемая цена — сжечь нечто, стоящее гораздо больше. Ужасная сделка. Так что честное прочтение невостребованной награды — не «эксплойта не существует». Оно такое: «никто, у кого есть эксплойт, не ценит $500 выше секретности». Это очень разные выводы, и на суд был вынесен только один из них.

Проверка реальностью для AI-агентов

Самая забавная часть обсуждения — наблюдать, как заявления об AI сталкиваются с настоящей целью. Один комментатор скормил челлендж пяти передовым моделям и выложил результаты. Две модели восприняли его как легитимный публичный челлендж — так и было — и взялись за работу. Одна пометила запрос как связанный с кибербезопасностью и перенаправила пользователя в программу проверки. Одна прямо отказалась. Одну остановил фильтр контента на стороне провайдера, еще до того как она успела ответить. Итак, из пяти современных систем две вообще согласились попробовать, и на начальном этапе ни одна не нашла флаг.

Эта смешанная картина важнее любой из крайних позиций. Рефлекторное «AI никогда ничего не взломает» неверно: модели действительно пытались, а агентная эксплуатация известных уязвимостей в CTF-подобных целях заметно улучшается. Но тезис «автономные рои опустошают каждый непропатченный сервер» — гораздо более сильное утверждение, и именно его проверяет публичная, разрешенная, оплачиваемая ловушка. Тем временем известный персонаж из мира пентестов только что заявил, что собрал универсальный рабочий PoC с чат-ботом за два часа, а потом, по совпадению, которое, уверен, никак не связано, перешел к продвижению своей AI-платформы для пентестов. Если бы это заявление подтвердилось, награда исчезла бы до того, как таймер дойдет до часа. Не исчезла. Мы уже видели этот паттерн: демо и лидерборды льстят возможностям, которые рассыпаются при столкновении с реальной работой. Это именно тот разрыв, который мы разбирали в статье почему AI-бенчмарки не видят большую часть реальной работы.

Версия о том, что эксперимент подстроен

Прежде чем провозгласить таймер наукой, стоит честно разобрать техническое возражение: конкретная конфигурация сервера может быть вообще неуязвима для упомянутых CVE. Один дотошный комментатор разобрал это по косточкам: машина работает на CLI-сервере PHP, а не на классической CGI-схеме, ограничивает запросы 1 МиБ, отдает почти пустую страницу и разрешает большой лимит памяти. В зависимости от того, в каких путях кода живут уязвимости, такая комбинация может закрыть примитивы, которые нужны эксплойту. Иначе говоря, ловушка может быть неуязвимой не потому, что баги сложные, а потому, что эта конкретная машина не открывает уязвимую поверхность.

Если это так, эксперимент всё равно полезен: он собирает попытки proof-of-concept для конфигураций, которые действительно уязвимы, и опровергает тезис о тривиальном, универсальном эксплойте, который работает везде. Но он не опровергнет существования рабочего эксплойта против реальных развертываний, а они в подавляющем большинстве не похожи на закаленную CTF-машину. Это общий урок о негативных результатах в безопасности: они ценны ровно настолько, насколько точна тестовая среда. Отсутствие доказательств является доказательством отсутствия, только если вы действительно смотрели в нужном месте нужными инструментами. Таймер измеряет способность интернета взломать этот сервер, и это куда более узкий и интересный вопрос, чем тот, о котором все спорили.

Что защитникам стоит вынести на самом деле

Ничто из этого не аргумент в пользу благодушия. Окно патчинга после выхода RCE в PHP действительно опасно: мы писали о том, почему выдернуть вилку из розетки оказалось лучше умных фиксов в период прошлой CVE в PHP, и этот совет остается в силе. Что меняет награда, так это калибровку вашего страха. Патчите, потому что уязвимости RCE на внешних сервисах — это экзистенциальная угроза, а не потому, что какой-то тред сообщил, будто небо уже падает.

• Требуйте проверяемости. Когда кто-то утверждает, что идет массовая эксплуатация, спросите, какие доказательства это решили бы. Публичная ловушка с таймером — штука грубая, но она строже тысячи ретвитов.
• Ставьте собственные канарейки. Один комментатор упомянул, что годами держал незашифрованный кошелек Bitcoin на личной машине как растяжку. Canary-токены, honey-учетки и приманочные файлы — дешевые системы раннего предупреждения, которые превращают вопрос «меня взломали?» из вопроса на ощупь в вопрос к телеметрии.
• Учитывайте экономику. Опытные атакующие копят эксплойты, громкие комментаторы монетизируют страх. Ни одна из этих групп не заинтересована в точной оценке угроз для вас, поэтому весите первичную телеметрию выше комментариев.
• Разделяйте утверждения. «Эксплойт существует», «эксплуатация уже идет» и «автономные агенты эксплуатируют всё» — это три разных утверждения с тремя разными планками доказательств. Паника сваливает их в одно. Не позволяйте этого.
• Всё равно патчите быстро. Тихая ловушка не означает тихой экспозиции. Ваши боевые серверы не предлагают приз в $500, что парадоксально делает их более привлекательными целями для того, кто держит в запасе рабочий эксплойт.

Лучшее в этой выходке то, что она почти ничего не стоила автору и дала реальный сигнал. VPS, уязвимая сборка PHP, бинарник с флагом и пятьсот долларов купили измерение, которого не хватало всей дискуссии. Разрыв между «эксплойт существует» и «эксплойт повсюду» — именно там живет паника. И теперь в середине этого разрыва тихо тикает таймер, бросая вызов каждому закрыть его.